先备份应用、配置与数据，并在测试环境验证。处理 PHP 漏洞 时，只使用当前安装的软件源和分支。
PHP 漏洞：厂商软件包状态
| 分支 / 厂商 | 已修复软件包 | PHP2Shell · 状态 |
|---|---|---|
| PHP 8.5 rhel | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.4 rhel | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.3 rhel | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.2 rhel | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.1 rhel | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 8.0 rhel | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:28:58 UTC |
| PHP 7.4 rhel · 8 (php:7.4 module) | 7.4.33-8.module+el8.10.0+25117+30337cca 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 7.4 rocky-linux · Rocky Linux 8 · php:7.4 | 按系统查看完整修订号Rocky Linux 8 · php:7.4 · x86_64 · php-cli Rocky Linux 8 · php:7.4 · x86_64 · php-common Rocky Linux 8 · php:7.4 · x86_64 · php-fpm Rocky Linux 8 · php:7.4 · aarch64 · php-cli Rocky Linux 8 · php:7.4 · aarch64 · php-common Rocky Linux 8 · php:7.4 · aarch64 · php-fpm 厂商来源 ↗ | 厂商回补已确认 核对时间: 2026-10-22 04:44:41 UTC |
“已确认”表示厂商已发布修复，不代表你的服务器已经更新。“未确认”表示尚无适用于该组合的已核实包版本。
PHP 漏洞：其他软件包系列
这些软件包有独立的发布计划。请确认使用的是哪个软件源，不能把一个系列的修复状态套用于另一个。
| 分支 / 厂商 | 已修复软件包 | PHP2Shell · 状态 |
|---|---|---|
| PHP 8.5 remi | 按系统查看完整修订号EL 8 · SCL php85 EL 8 · module php:8.5 EL 9 · SCL php85 EL 9 · module php:8.5 EL 10 · SCL php85 EL 10 · module php:8.5 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.4 remi | 按系统查看完整修订号EL 8 · SCL php84 EL 8 · module php:8.4 EL 9 · SCL php84 EL 9 · module php:8.4 EL 10 · SCL php84 EL 10 · module php:8.4 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.3 remi | 按系统查看完整修订号EL 8 · SCL php83 EL 8 · module php:8.3 EL 9 · SCL php83 EL 9 · module php:8.3 EL 10 · SCL php83 EL 10 · module php:8.3 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.2 remi | 按系统查看完整修订号EL 8 · SCL php82 EL 8 · module php:8.2 EL 9 · SCL php82 EL 9 · module php:8.2 EL 10 · SCL php82 EL 10 · module php:8.2 厂商来源 ↗ | 修复已确认 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.1 remi | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 8.0 remi | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
| PHP 7.4 remi | 已修复软件包 — 厂商来源 ↗ | 状态未确认，请查看厂商公告 核对时间: 2026-10-22 03:29:00 UTC |
Remi 稳定仓库元数据确认 EL 8/9/10 的 x86_64、aarch64 均有 SCL 和 modular 的 CLI、common、FPM 修复包。展开查看完整修订后再选包；其他扩展、系统及安装命令未实测。
本次未找到此 EOL 分支已确认的 Remi 回补。受支持分支出现新包，不能证明旧分支也已修复。
确认 PHP 漏洞 修复来自哪个软件源
发行版软件包、第三方仓库、容器镜像和面板管理的 PHP 可能是不同安装。核对操作系统、架构、软件源和网站分配的运行时；同一个短版本号可能对应不同补丁状态。
源码上传、计划发布日期或 RC 标签都不能证明 PHP 漏洞 修复包已经发布。
PHP 8.5：更新、重启和验证
rhel
本次未确认此 PHP 分支的完整 RHSA 修复包。下方 RHEL 8 的 php:7.4 是另一个已确认的回补范围。必须匹配产品与模块流；AlmaLinux、Rocky Linux 需分别核对公告。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.4：更新、重启和验证
rhel
本次未确认此 PHP 分支的完整 RHSA 修复包。下方 RHEL 8 的 php:7.4 是另一个已确认的回补范围。必须匹配产品与模块流；AlmaLinux、Rocky Linux 需分别核对公告。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.3：更新、重启和验证
rhel
本次未确认此 PHP 分支的完整 RHSA 修复包。下方 RHEL 8 的 php:7.4 是另一个已确认的回补范围。必须匹配产品与模块流；AlmaLinux、Rocky Linux 需分别核对公告。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.2：更新、重启和验证
rhel
本次未确认此 PHP 分支的完整 RHSA 修复包。下方 RHEL 8 的 php:7.4 是另一个已确认的回补范围。必须匹配产品与模块流；AlmaLinux、Rocky Linux 需分别核对公告。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.1：更新、重启和验证
rhel
本次未确认此 PHP 分支的完整 RHSA 修复包。下方 RHEL 8 的 php:7.4 是另一个已确认的回补范围。必须匹配产品与模块流；AlmaLinux、Rocky Linux 需分别核对公告。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 8.0：更新、重启和验证
rhel
本次未确认此 PHP 分支的完整 RHSA 修复包。下方 RHEL 8 的 php:7.4 是另一个已确认的回补范围。必须匹配产品与模块流；AlmaLinux、Rocky Linux 需分别核对公告。
核对时间: 2026-10-22 03:28:58 UTC · 厂商来源 ↗
PHP 7.4：更新、重启和验证
rhel · 8 (php:7.4 module)
RHSA-2026:87080 及 CSAF 记录确认 RHEL 8 的 php:7.4 在 x86_64、aarch64、ppc64le、s390x 上修复两个 CVE。不能推断 AlmaLinux、Rocky Linux 或其他模块流也已修复。安装未经实测，检查器仍要求人工对照 RPM 公告。
核对时间: 2026-10-22 03:29:00 UTC · 厂商来源 ↗
rocky-linux · Rocky Linux 8 · php:7.4
Rocky Linux 8 AppStream 已发布 php:7.4 的 PHP 漏洞回补，RLSA-2026:87080 覆盖两个 CVE。已下载 x86_64 和 aarch64 的 CLI、common、FPM RPM，并核对其校验和与官方软件包及公告元数据一致。请展开查看完整修订；这不能确认其他分支、系统版本或 AlmaLinux 的状态。本站未实测安装和服务重启，检查器也不会自动比较这些 RPM 修订。
核对时间: 2026-10-22 04:44:41 UTC · 厂商来源 ↗
PHP 漏洞：暂时无法升级时
临时缓解不能完整修复 PHP 漏洞。关闭 session 上传进度只能缓解 CVE-2026-109619 已确认的部分路径，不能修复 CVE-2026-109618，也不能排除其他残留状态路径。
session.upload_progress.enabled = Off在网站运行时使用的配置中、请求解析前生效，并重启全部 PHP worker。不要依赖应用中的 ini_set() 或 FPM 的 .user.ini。修改会停用 PHP 内置的 session 上传进度功能。
cleanup、strict_mode、only_cookies 和 HttpOnly 属于 session 清理或一般加固，不能作为这两个漏洞已修复的证据。官方还讨论请求大小、内存限制与错误回溯设置；取消内存限制有耗尽主机资源的风险。应用其他设置前请阅读公告中的限制并评估可用性影响。
核对时间: 2026-10-21 23:25:00 UTC
PHP 漏洞 更新后的检查
测试关键请求、登录、上传、日志、定时任务和后台 worker。重启所有处理网站请求的 PHP 进程，并核对每个站点的运行版本。保存软件源和完整修订号记录；EOL 分支还需安排迁移。
版本检查器 →常见问题
为什么 PHP 漏洞更新后版本号仍旧？
发行版常把安全补丁回补到原分支，短版本号可以不变。核对完整包修订号、软件源和厂商公告，再检查网站实际运行的 PHP。
更新命令行 PHP 会同时更新网站吗？
不一定。命令行、PHP-FPM 和面板可能使用不同程序。完成 PHP 漏洞更新后，逐个核对网站分配的运行时。
需要重启 PHP worker 吗？
需要。按厂商流程重启 FPM、Apache 和长期运行的应用 worker。只安装软件包，不能证明所有进程已经加载新版本。